Auftragsverarbeitungsvertrag

zwischen

(1) dem im Steerd-Konto und in der Auftragsbestätigung bezeichneten Kontoinhaber (der "Verantwortliche" oder "Kunde") und

(2) Unbogify GmbH, Zelterstr. 10, 10439 Berlin, Deutschland, eingetragen beim Amtsgericht Berlin-Charlottenburg unter HRB 243027 B, die den Dienst unter dem Namen Steerd betreibt (der "Auftragsverarbeiter", "wir", "uns"),

jeweils eine "Partei" und gemeinsam die "Parteien".

Präambel

Die Parteien haben einen Vertrag über die Nutzung von Steerd geschlossen (der "Hauptvertrag", das sind die Allgemeinen Geschäftsbedingungen unter steerd.io/terms und steerd.io/de/agb in der vom Kunden akzeptierten Fassung). In Erfüllung des Hauptvertrags verarbeitet der Auftragsverarbeiter personenbezogene Daten im Auftrag des Kunden. Dieser Vertrag (der "AVV") enthält die nach Art. 28 Abs. 3 DSGVO erforderlichen Regelungen und ist Bestandteil des Hauptvertrags.

Soweit dieser AVV und der Hauptvertrag hinsichtlich der Verarbeitung personenbezogener Daten voneinander abweichen, geht dieser AVV vor.

1. Gegenstand, Dauer, Art, Zweck, Daten und betroffene Personen

Gegenstand, Dauer, Art und Zweck der Verarbeitung, die Arten personenbezogener Daten und die Kategorien betroffener Personen sind in Anlage 1 beschrieben, die Bestandteil dieses AVV ist.

Die Verarbeitung dauert an, solange der Hauptvertrag in Kraft ist, zuzüglich der in Ziffer 9 genannten Zeiträume.

2. Weisungen (Art. 28 Abs. 3 lit. a DSGVO)

2.1 Der Auftragsverarbeiter verarbeitet personenbezogene Daten nur auf dokumentierte Weisung des Kunden, auch in Bezug auf die Übermittlung personenbezogener Daten an ein Drittland, sofern er nicht durch das Recht der Union oder der Mitgliedstaaten, dem er unterliegt, hierzu verpflichtet ist; in einem solchen Fall teilt der Auftragsverarbeiter dem Kunden diese rechtlichen Anforderungen vor der Verarbeitung mit, sofern das betreffende Recht eine solche Mitteilung nicht wegen eines wichtigen öffentlichen Interesses verbietet.

2.2 Die Nutzung von Steerd durch den Kunden ist seine Weisung. Die vom Kunden genutzten Funktionen, die von ihm eingegebenen, importierten oder hochgeladenen Daten und die von ihm innerhalb des Dienstes bestimmten Empfänger stellen dokumentierte Weisungen im Sinne des Art. 28 Abs. 3 lit. a DSGVO dar. Dieser AVV, der Hauptvertrag und die Produktdokumentation sind die anfängliche vollständige Weisung.

2.3 Weisungen, die über die Nutzung des Dienstes hinausgehen, bedürfen der Textform. Der Auftragsverarbeiter kann die angemessenen Kosten für die Umsetzung einer Einzelweisung, die über die Funktionen des Dienstes hinausgeht, berechnen, nachdem er dem Kunden die voraussichtlichen Kosten mitgeteilt und dessen Zustimmung eingeholt hat.

2.4 Der Auftragsverarbeiter informiert den Kunden unverzüglich, falls er der Auffassung ist, dass eine Weisung gegen die DSGVO oder gegen andere Datenschutzbestimmungen der Union oder der Mitgliedstaaten verstößt (Art. 28 Abs. 3 Unterabsatz 2 DSGVO). Der Auftragsverarbeiter kann die Ausführung dieser Weisung aussetzen, bis der Kunde sie in Textform bestätigt.

2.5 Der Auftragsverarbeiter verwendet die nach diesem AVV verarbeiteten personenbezogenen Daten nicht für eigene Zwecke. Insbesondere verkauft er diese Daten nicht, wertet sie nicht für eigene geschäftliche Zwecke aus und nutzt sie nicht zum Training von Modellen künstlicher Intelligenz, weder eigener noch solcher Dritter.

3. Vertraulichkeit (Art. 28 Abs. 3 lit. b DSGVO)

3.1 Der Auftragsverarbeiter gewährleistet, dass sich die zur Verarbeitung der personenbezogenen Daten befugten Personen zur Vertraulichkeit verpflichtet haben oder einer angemessenen gesetzlichen Verschwiegenheitspflicht unterliegen, und dass diese Verpflichtung über das Ende ihrer Tätigkeit hinaus fortbesteht.

3.2 Der Auftragsverarbeiter gewährt Zugang zu den nach diesem AVV verarbeiteten personenbezogenen Daten nur denjenigen Personen, die ihn zur Erfüllung des Hauptvertrags benötigen, und führt ein Verzeichnis darüber, welche Personen das sind.

4. Sicherheit der Verarbeitung (Art. 28 Abs. 3 lit. c, Art. 32 DSGVO)

4.1 Der Auftragsverarbeiter setzt die in Anlage 2 beschriebenen technischen und organisatorischen Maßnahmen um; Anlage 2 ist Bestandteil dieses AVV und genügt den Anforderungen des Art. 32 DSGVO.

4.2 Die Maßnahmen berücksichtigen den Stand der Technik, die Implementierungskosten sowie die Art, den Umfang, die Umstände und die Zwecke der Verarbeitung ebenso wie das Risiko für die betroffenen Personen, jeweils zum Zeitpunkt des Vertragsschlusses. Der Auftragsverarbeiter überprüft sie mindestens jährlich und kann eine einzelne Maßnahme ändern, sofern das Schutzniveau dadurch nicht verringert wird. Der Auftragsverarbeiter hält eine aktuelle Fassung der Anlage 2 für den Kunden bereit.

4.3 Anlage 2 benennt ihre bekannten Lücken, statt sie wegzulassen. Der Kunde bestätigt, dass ihm vor Abschluss dieses AVV Gelegenheit gegeben wurde, Anlage 2 einschließlich jenes Abschnitts zu prüfen, und dass die dort beschriebenen Maßnahmen für die von ihm angewiesene Verarbeitung angemessen sind.

5. Unterauftragsverarbeiter (Art. 28 Abs. 2 und Abs. 4 DSGVO)

5.1 Der Kunde erteilt dem Auftragsverarbeiter die allgemeine schriftliche Genehmigung, weitere Auftragsverarbeiter (Unterauftragsverarbeiter) hinzuzuziehen. Die zum Zeitpunkt dieses AVV hinzugezogenen Unterauftragsverarbeiter sind in Anlage 3 aufgeführt; der Kunde genehmigt jeden von ihnen.

5.2 Der Auftragsverarbeiter informiert den Kunden mindestens 30 Tage im Voraus über jede beabsichtigte Hinzuziehung oder Ersetzung eines Unterauftragsverarbeiters, unter Angabe des Anbieters, des Zwecks, des Orts der Verarbeitung, des geplanten Beginns und der Möglichkeit zum Widerspruch. Die Mitteilung ergeht an die in Ziffer 11.4 genannten Adressen; für den Lauf der 30-Tage-Frist gilt Ziffer 11.4.

5.3 Der Kunde kann innerhalb dieser Frist aus berechtigten, den Datenschutz betreffenden Gründen in Textform widersprechen, gegenüber dem Auftragsverarbeiter unter legal@nightlybuildgroup.com oder unter einer Adresse, die der Auftragsverarbeiter in der Mitteilung hierfür angegeben hat. Einigen sich die Parteien nicht innerhalb weiterer 30 Tage auf eine Lösung, kann der Kunde den Hauptvertrag und diesen AVV kündigen, mit Wirkung zu dem Tag, an dem der Unterauftragsverarbeiter die Verarbeitung aufnehmen soll; der Auftragsverarbeiter erstattet in diesem Fall das Entgelt für den ungenutzten Teil eines bereits bezahlten Zeitraums anteilig. Der Auftragsverarbeiter räumt kein Recht ein, die Änderung zu verhindern und den Dienst zugleich weiter zu nutzen; für einen Dienst dieser Größe wäre das ein Versprechen, das er nicht halten könnte.

5.4 Der Auftragsverarbeiter erlegt jedem Unterauftragsverarbeiter vertraglich Datenschutzpflichten auf, die denen dieses AVV mindestens gleichwertig sind, insbesondere hinreichende Garantien im Sinne des Art. 28 Abs. 1 DSGVO. Kommt ein Unterauftragsverarbeiter diesen Pflichten nicht nach, so haftet der Auftragsverarbeiter gegenüber dem Kunden in vollem Umfang für die Erfüllung der Pflichten dieses Unterauftragsverarbeiters (Art. 28 Abs. 4 DSGVO).

5.5 Anbieter, die personenbezogene Daten verarbeiten, für die der Auftragsverarbeiter selbst Verantwortlicher ist, insbesondere die Anbieter für Zahlungsabwicklung, Website-Analyse und Bot-Schutz in der eigenen Geschäftsbeziehung des Auftragsverarbeiters zum Kunden, sind keine Unterauftragsverarbeiter im Sinne dieses AVV und werden nicht in Anlage 3 aufgeführt. Sie sind in der Datenschutzerklärung des Auftragsverarbeiters benannt.

6. Übermittlungen in Drittländer (Kapitel V DSGVO)

6.1 Die Verarbeitung findet innerhalb der Europäischen Union statt. Der Auftragsverarbeiter übermittelt personenbezogene Daten nur dann an ein Land außerhalb des Europäischen Wirtschaftsraums oder an eine internationale Organisation, wenn dort ein in Anlage 3 aufgeführter Empfänger ansässig ist, und nur auf der für diesen Empfänger in Anlage 3 angegebenen Grundlage der Übermittlung.

6.2 Die Grundlage der Übermittlung wird je Empfänger in Anlage 3 angegeben und ist entweder ein Angemessenheitsbeschluss, die aktuelle Zertifizierung des Empfängers nach einem anwendbaren Angemessenheitsrahmen oder die von der Europäischen Kommission erlassenen Standardvertragsklauseln. Der Auftragsverarbeiter stützt sich nicht auf eine pauschal angegebene Grundlage.

6.3 Auf Anfrage stellt der Auftragsverarbeiter dem Kunden eine Kopie des einschlägigen Instruments der Übermittlung sowie die für diesen Empfänger durchgeführte Übermittlungsfolgenabschätzung zur Verfügung, geschwärzt nur insoweit, wie dies zum Schutz der Vertraulichkeit Dritter erforderlich ist.

6.4 Der Auftragsverarbeiter informiert den Kunden unverzüglich, wenn eine Grundlage der Übermittlung, auf die er sich stützt, ihre Gültigkeit verliert, und schafft entweder eine alternative Grundlage oder beendet die Übermittlung.

6.5 Der Auftragsverarbeiter veröffentlicht auf steerd.io und hält dort aktuell: die Länder, in denen sich die Infrastruktur befindet, auf der Steerd betrieben wird, die von ihm eingesetzten Unterauftragsverarbeiter und die Maßnahmen, die er gegen einen rechtswidrigen Zugriff durch Behörden von Drittländern getroffen hat.

7. Unterstützung bei den Rechten betroffener Personen (Art. 28 Abs. 3 lit. e DSGVO)

7.1 Angesichts der Art der Verarbeitung unterstützt der Auftragsverarbeiter den Kunden nach Möglichkeit mit geeigneten technischen und organisatorischen Maßnahmen dabei, seiner Pflicht zur Beantwortung von Anträgen auf Wahrnehmung der in den Art. 15 bis 22 DSGVO genannten Rechte nachzukommen.

7.2 Der Auftragsverarbeiter stellt im Dienst Funktionen bereit, mit denen der Kunde die häufigsten Anträge selbst erfüllen kann, ohne den Auftragsverarbeiter einzuschalten. Diese Funktionen sind in Anlage 1 beschrieben.

7.3 Richtet eine betroffene Person einen Antrag nach den Art. 15 bis 22 DSGVO an den Auftragsverarbeiter, so beantwortet dieser ihn nicht im eigenen Namen. Er leitet den Antrag unverzüglich an den Kunden weiter und verweist die betroffene Person an den Kunden.

7.4 Die Unterstützung nach dieser Ziffer erfolgt unentgeltlich, es sei denn, ein Antrag ist offenkundig unbegründet oder exzessiv, insbesondere im Fall von häufiger Wiederholung, oder er erfordert vom Auftragsverarbeiter die Entwicklung einer nicht vorhandenen Funktion. In diesen Fällen kann der Auftragsverarbeiter seine angemessenen Kosten berechnen, nachdem er dem Kunden die voraussichtlichen Kosten mitgeteilt und dessen Zustimmung eingeholt hat.

8. Unterstützung bei den Art. 32 bis 36 DSGVO (Art. 28 Abs. 3 lit. f DSGVO) und Verletzungen des Schutzes personenbezogener Daten

8.1 Der Auftragsverarbeiter unterstützt den Kunden unter Berücksichtigung der Art der Verarbeitung und der ihm zur Verfügung stehenden Informationen bei der Einhaltung der in den Art. 32 bis 36 DSGVO genannten Pflichten. Anlage 2 und das Verfahren des Auftragsverarbeiters zur Reaktion auf Verletzungen des Schutzes personenbezogener Daten sind die wesentlichen Mittel dieser Unterstützung.

8.2 Der Auftragsverarbeiter meldet dem Kunden eine Verletzung des Schutzes personenbezogener Daten, die nach diesem AVV verarbeitete personenbezogene Daten betrifft, unverzüglich und in jedem Fall innerhalb von 48 Stunden, nachdem sie ihm bekannt geworden ist, damit der Kunde seiner eigenen Pflicht aus Art. 33 Abs. 1 DSGVO binnen 72 Stunden nachkommen kann.

8.3 Die Meldung beschreibt, soweit zu diesem Zeitpunkt bekannt: die Art der Verletzung einschließlich der Kategorien und der ungefähren Zahl der betroffenen Personen und der betroffenen Datensätze, die wahrscheinlichen Folgen, die ergriffenen oder vorgeschlagenen Maßnahmen und eine Kontaktstelle. Können die Informationen nicht gleichzeitig bereitgestellt werden, so werden sie ohne unangemessene weitere Verzögerung schrittweise bereitgestellt. Der Auftragsverarbeiter verzögert die erste Meldung nicht, um seine Untersuchung abzuschließen.

8.4 Der Auftragsverarbeiter meldet eine Verletzung des Schutzes personenbezogener Daten nicht im Namen des Kunden an eine Aufsichtsbehörde oder an eine betroffene Person, es sei denn, der Kunde weist ihn in Textform dazu an.

8.5 Der Auftragsverarbeiter unterstützt die Datenschutz-Folgenabschätzungen und die vorherigen Konsultationen des Kunden nach den Art. 35 und 36 DSGVO, indem er die ihm vorliegenden Informationen über die Verarbeitung bereitstellt.

9. Löschung oder Rückgabe der Daten (Art. 28 Abs. 3 lit. g DSGVO)

9.1 Der Kunde wählt, ob der Auftragsverarbeiter die in seinem Auftrag verarbeiteten personenbezogenen Daten zurückgibt oder löscht. Die Erklärung des Kunden nach der Regelung des Hauptvertrags über Anbieterwechsel, Export und Löschung ist zugleich die Ausübung dieser Wahl.

9.2 Diese Ziffer setzt die nach Ziffer 9.1 getroffene Wahl um. Sie ist keine davon unabhängige Regel, die die Wahl verdrängt. Die Frist, innerhalb derer der Kunde die Daten am Ende des Hauptvertrags abrufen kann, und das Verfahren dafür richten sich nach der Regelung des Hauptvertrags über Anbieterwechsel, Export und Löschung; diese Regelung haben die Parteien bewusst zum einzigen Verfahren für die Beendigung gemacht, statt hier ein zweites zu betreiben. Über dieses Verfahren erhält ein Kunde, der die Rückgabe gewählt hat, seine Daten. Nach Ablauf der Frist löscht der Auftragsverarbeiter die im Auftrag des Kunden verarbeiteten personenbezogenen Daten sowie die vorhandenen Kopien davon, sofern nicht nach dem Recht der Union oder der Mitgliedstaaten eine Verpflichtung zu ihrer Speicherung besteht.

Ein Kunde, der die Löschung gewählt hat, kann sie früher herbeiführen, indem er sein Konto im Dienst löscht; Ziffer 9.3 beschreibt, was dabei geschieht. Trifft der Kunde keine Wahl, so löscht der Auftragsverarbeiter, und zwar nach Ablauf dieser Frist. Das ist die Folge, von der Art. 28 Abs. 3 lit. g DSGVO als Regelfall ausgeht, und die einzige, bei der beim Auftragsverarbeiter nichts zurückbleibt.

9.3 Löschung durch den Kunden während der Laufzeit. Löscht der Kunde sein Konto im Dienst, so erstellt und verifiziert der Auftragsverarbeiter vor der Löschung einen vollständigen Export, vernichtet anschließend den Schlüssel, mit dem die Dateien des Kunden verschlüsselt sind, und entfernt die Datensätze aus dem laufenden Betrieb. Diese Löschung ist sofort wirksam und nicht umkehrbar, und der Kunde wird darauf hingewiesen, bevor er sie bestätigt.

9.4 Sicherungskopien. Die Löschung erstreckt sich auf Sicherungskopien in dem Maße, in dem das Aufbewahrungsfenster der Sicherungen fortschreitet, und nicht früher. Sicherungen werden nicht selektiv wiederhergestellt, um eine einzelne Löschung umzusetzen. Die äußere Grenze beträgt daher 90 Tage ab der Löschung; das ist die Aufbewahrungsdauer der Sicherungen des Produktivbetriebs. Personenbezogene Daten, die während dieses Zeitraums in einer Sicherung vorhanden sind, werden zu keinem anderen Zweck als der Wiederherstellung des Dienstes verarbeitet.

9.5 Exportarchive. Ein Exportarchiv, gleich ob nach Ziffer 9.3 oder auf Anfrage des Kunden während der Laufzeit erstellt, wird ab seiner Erstellung 30 Tage gespeichert und danach durch einen automatisierten Vorgang gelöscht. Eine Löschung des Kontos verkürzt diesen Zeitraum nicht; deshalb ist das Archiv das einzige Artefakt, das die Löschung nach Ziffer 9.3 überdauert. Der Zeitraum ist bewusst fest und an beiden Enden kurz bemessen: Er ist lang genug, um die Wahl des Kunden nach Ziffer 9.1 zu einer echten Wahl zu machen, und nicht länger als das, weil das Archiv im ruhenden Zustand unverschlüsselt gespeichert wird und personenbezogene Daten der eigenen betroffenen Personen des Kunden enthält, die gegenüber dem Auftragsverarbeiter Dritte sind. Der Auftragsverarbeiter sagt nicht zu, dass ein für ein Archiv ausgestellter Download-Link während des gesamten Zeitraums gültig bleibt; Links sind konstruktionsbedingt kurzlebig, und eine weitere Kopie wird durch die Anforderung eines neuen Exports erlangt.

9.6 Der Auftragsverarbeiter bestätigt dem Kunden die Löschung auf Anfrage in Textform.

10. Informationen und Überprüfungen (Art. 28 Abs. 3 lit. h DSGVO)

10.1 Der Auftragsverarbeiter stellt dem Kunden alle Informationen zur Verfügung, die zum Nachweis der Einhaltung des Art. 28 DSGVO erforderlich sind, und ermöglicht Überprüfungen einschließlich Inspektionen, die vom Kunden oder einem von diesem beauftragten Prüfer durchgeführt werden, und trägt dazu bei.

10.2 In erster Linie. Der Auftragsverarbeiter erfüllt diese Pflicht in erster Linie dadurch, dass er innerhalb einer angemessenen Frist Anlage 2, das Verzeichnis der Verarbeitungstätigkeiten zu der für den Kunden durchgeführten Verarbeitung, die Liste der Unterauftragsverarbeiter mit ihren Grundlagen der Übermittlung sowie schriftliche Antworten auf den Sicherheitsfragebogen des Kunden bereitstellt.

10.3 Inspektionen vor Ort und aus der Ferne. Reicht das dem Kunden zum Nachweis der Einhaltung nicht aus, so kann der Kunde eine Inspektion durchführen: nach Ankündigung in Textform mit einer Frist von 30 Tagen, während der üblichen Geschäftszeiten, höchstens einmal in jedem Zeitraum von zwölf Monaten, es sei denn, es hat eine Verletzung des Schutzes personenbezogener Daten gegeben oder eine Aufsichtsbehörde verlangt es, unter einer Verpflichtung zur Vertraulichkeit und ohne Zugang zu Daten anderer Kunden. Der Kunde trägt seine eigenen Kosten und die angemessenen Kosten des Auftragsverarbeiters für die Unterstützung einer Inspektion über den ersten Tag hinaus.

10.4 Ein vom Kunden beauftragter Prüfer darf kein Wettbewerber des Auftragsverarbeiters sein. Der Auftragsverarbeiter kann einen bestimmten Prüfer aus diesem Grund ablehnen; in diesem Fall kann der Kunde einen anderen benennen.

10.5 Der Auftragsverarbeiter kann eine Inspektion verschieben, solange er auf eine Verletzung des Schutzes personenbezogener Daten oder einen anderen Sicherheitsvorfall reagiert, und führt sie danach unverzüglich durch.

10.6 Der Auftragsverarbeiter verfügt über keine Zertifizierung nach ISO 27001 oder SOC 2 und behauptet auch nicht, über eine solche zu verfügen. Er stellt das hier klar, statt es den Kunden bei einer Sicherheitsprüfung entdecken zu lassen.

11. Pflichten des Kunden

11.1 Der Kunde ist der Verantwortliche. Er ist für die Rechtmäßigkeit der von ihm angewiesenen Verarbeitung verantwortlich, insbesondere für das Vorliegen einer Rechtsgrundlage, für die Information der betroffenen Personen und für die Richtigkeit der von ihm eingegebenen Daten.

11.2 Der Kunde ist verantwortlich für die personenbezogenen Daten, die er in den Dienst eingibt, importiert oder hochlädt, und für die Empfänger, die er darin bestimmt.

11.3 Besondere Kategorien. Steerd sieht kein Feld vor, das für personenbezogene Daten der in Art. 9 Abs. 1 DSGVO genannten Kategorien bestimmt ist, und fragt solche Daten nicht ab. Der Kunde darf solche Daten sowie personenbezogene Daten über strafrechtliche Verurteilungen und Straftaten (Art. 10 DSGVO) nicht über den Dienst verarbeiten, es sei denn, er hat den Auftragsverarbeiter in Textform davon in Kenntnis gesetzt und die Parteien haben die erforderlichen zusätzlichen Maßnahmen vereinbart. Daraus ergibt sich keine Pflicht des Auftragsverarbeiters, die Inhalte des Kunden zu überwachen oder zu prüfen, und der Auftragsverarbeiter tut dies nicht.

11.4 Adressen für Mitteilungen, und die eine Regel, die dafür gilt. Der Kunde benennt in seinem Konto eine Kontaktstelle für Datenschutzangelegenheiten und hält sie aktuell. Der Auftragsverarbeiter richtet Mitteilungen nach den Ziffern 5.2 und 8.2 an diese Kontaktstelle und an die für den Kontoinhaber hinterlegte E-Mail-Adresse. Weichen beide voneinander ab, so ist die Mitteilung wirksam erteilt, sobald sie an eine von beiden abgesandt ist, und eine Frist, die die Mitteilung in Lauf setzt, beginnt mit dem späteren der beiden Absendedaten. Hat der Kunde keine Kontaktstelle für Datenschutzangelegenheiten benannt, so ist die für den Kontoinhaber hinterlegte Adresse die Adresse für diese Mitteilungen und genügt.

Dies ist bewusst eine Regel für beide Adressen und nicht je eine Regel pro Ziffer. Die Frist, die Ziffer 5.2 in Lauf setzt, sind die 30 Tage, in denen der Kunde einem Unterauftragsverarbeiter widersprechen kann. Ein Kunde, dessen Widerspruch verspätet ist, weil der Vertrag zwei Adressen nannte und der Auftragsverarbeiter die andere verwendet hat, hätte ein Recht durch die Vertragsgestaltung verloren und nicht durch sein eigenes Verhalten.

12. Haftung

12.1 Die Haftung der Parteien untereinander nach diesem AVV richtet sich nach der Haftungsregelung des Hauptvertrags, die für diesen AVV ebenso gilt wie für den Hauptvertrag. Die Parteien haben bewusst darauf verzichtet, hier eine zweite und abweichende Haftungsregelung zu schaffen.

12.2 Art. 82 DSGVO bleibt unberührt. Keine Bestimmung dieses AVV und keine Bestimmung des Hauptvertrags beschränkt die gesetzliche Haftung einer der Parteien gegenüber einer betroffenen Person nach Art. 82 DSGVO; diese Haftung besteht gegenüber Personen, die nicht Partei dieses AVV sind, und kann durch ihn nicht beschränkt werden. Der Ausgleich zwischen den Parteien nach Art. 82 Abs. 5 DSGVO bleibt ebenfalls unberührt.

12.3 Die Haftung für Vorsatz und grobe Fahrlässigkeit, für die Verletzung des Lebens, des Körpers oder der Gesundheit sowie nach dem Produkthaftungsgesetz ist unbeschränkt.

13. Laufzeit und Beendigung

13.1 Dieser AVV beginnt mit dem Beginn des Hauptvertrags und endet mit dessen Ende, vorbehaltlich der Pflichten aus Ziffer 9, die bis zu ihrer Erfüllung fortbestehen, und vorbehaltlich der Ziffer 3, die unbefristet fortbesteht.

13.2 Dieser AVV kann nicht gesondert vom Hauptvertrag gekündigt werden, außer nach Ziffer 5.3.

14. Sprache

Dieser AVV besteht in deutscher und in englischer Sprache. Maßgeblich ist die Fassung in der Sprache, in der die Parteien ihn schließen, und diese Sprache ist die Sprache dieses AVV. Beide Fassungen sind gleichrangig und werden gemeinsam geändert. Das entspricht der Sprachregelung des Hauptvertrags und ist beabsichtigt: Wer in einer Sprache abschließt, soll nicht durch einen Text in der anderen gebunden sein.

15. Schlussbestimmungen

15.1 Es gilt deutsches Recht unter Ausschluss des Übereinkommens der Vereinten Nationen über Verträge über den internationalen Warenkauf.

15.2 Gerichtsstand ist der des Hauptvertrags.

15.3 Änderungen und Ergänzungen dieses AVV bedürfen der Textform; das gilt auch für einen Verzicht auf dieses Formerfordernis. Individuelle Abreden zwischen den Parteien haben Vorrang (§ 305b BGB).

15.4 Ist oder wird eine Bestimmung dieses AVV unwirksam, so bleiben die übrigen Bestimmungen in Kraft. Die Parteien ersetzen eine unwirksame Bestimmung durch eine wirksame, die ihrem datenschutzrechtlichen Zweck am nächsten kommt.

16. Bestimmungen für einzelne Rechtsordnungen

16.1 Kalifornien. Ist der Kunde ein "business" und der Auftragsverarbeiter ein "service provider" im Sinne des California Consumer Privacy Act, so gilt für die von diesem Gesetz erfassten personenbezogenen Daten zusätzlich zum übrigen AVV die Anlage 4.

16.2 Vereinigtes Königreich. Unterliegt der Kunde hinsichtlich der Verarbeitung der UK GDPR, so gilt für diese Verarbeitung zusätzlich zum übrigen AVV die Anlage 5.

16.3 Jede dieser Anlagen gilt nur für die Verarbeitung, die sie beschreibt, und nur solange das Recht gilt, das sie umsetzt. Widersprechen sich eine Anlage und der übrige AVV hinsichtlich einer Verarbeitung, die die Anlage erfasst, so geht die Anlage vor, und zwar allein für diese Verarbeitung; im Übrigen bleibt der AVV maßgeblich. Keine der Anlagen mindert eine Pflicht, die die DSGVO dem Auftragsverarbeiter auferlegt.

16.4 Der Auftragsverarbeiter verkauft personenbezogene Daten nach keinem dieser Gesetze und gibt sie nach keinem von ihnen weiter, und er handelt unter diesem AVV auf keiner anderen Grundlage als den Weisungen des Kunden. Die Ziffern 2.1 und 2.5 sagen dies für den gesamten Vertrag: Ziffer 2.1 bindet den Auftragsverarbeiter an dokumentierte Weisungen, Ziffer 2.5 schließt eigene Zwecke, Verkauf und KI-Training aus. Die Anlagen sagen es noch einmal in den Begriffen, die das jeweilige Gesetz verlangt, denn ein Gesetz, das bestimmte Formulierungen fordert, ist mit einer Klausel gleichen Inhalts nicht erfüllt.

Anlage 1: Beschreibung der Verarbeitung

1.1 Gegenstand, Art und Zweck

Gegenstand. Bereitstellung von Steerd, einer All-in-one-Plattform für Freelancer und kleine Unternehmen. In einem Produkt: Kontakte und Vertriebspipeline, Projekte und Aufgaben, Lebensläufe, Zeiterfassung, Reisekosten und Pauschalen, Dateien und Anhänge, importierte E-Mail-Korrespondenz und die darauf aufbauenden Konversationen sowie Rechnungsstellung einschließlich E-Rechnung. Die Pflege von Kundenbeziehungen ist ein Modul davon und nicht das ganze Produkt.

Der Gegenstand bestimmt den Umfang der Verarbeitung nach diesem AVV. Deshalb nennt diese Beschreibung jedes Modul, in dem personenbezogene Daten liegen, und nicht nur diejenigen, mit denen das Produkt begonnen hat. Eine Beschreibung, die enger ist als das Produkt, wäre ein Vertrag, von dem sich vertreten ließe, dass er die tatsächliche Verarbeitung nicht erfasst; Anlage 1.2 führt die Daten aller hier genannten Module auf.

Art der Verarbeitung. Erheben, einschließlich des Imports aus einem vom Kunden verbundenen Postfach und aus dem Browser des Kunden; Speichern; Ordnen; Auslesen; Verändern; Übermitteln an vom Kunden bestimmte Empfänger; Offenlegen gegenüber den in Anlage 3 aufgeführten Unterauftragsverarbeitern auf der dort genannten Grundlage; und Löschen.

Zweck. Ausschließlich die Erbringung des Dienstes nach dem Hauptvertrag und nach den Weisungen des Kunden.

Dauer. Solange der Kunde ein Konto unterhält, zuzüglich der in Ziffer 9 genannten Zeiträume.

1.2 Arten personenbezogener Daten

Diese Aufstellung nennt Tatsachen und ist der Teil des Dokuments, den die Rechtsberatung eines Kunden tatsächlich liest.

1.3 Kategorien betroffener Personen

• Die eigenen Kunden und potenziellen Kunden des Kunden sowie deren Beschäftigte.
• Recruiter und Agenturen, mit denen der Kunde zu tun hat.
• Die eigenen Beschäftigten, Auftragnehmer und Teammitglieder des Kunden.
• Kandidatinnen und Kandidaten sowie Freelancer, deren Lebensläufe der Kunde speichert.
• Alle Personen, die an ein vom Kunden verbundenes Postfach schreiben und deren Nachricht der Kunde

importiert.

• Die eigenen Nutzerinnen und Nutzer von Steerd auf Seiten des Kunden.

1.4 Self-Service-Funktionen für die Rechte betroffener Personen (Ziffer 7.2)

Was der Export enthält. Es trägt das Archiv beide Hälften durch ein Manifest, sodass jeder Eintrag einen SHA-256 hat und auf dieselbe Weise verifiziert wird:

• Dateien: Anhänge und Dateien, entschlüsselt, unter attachments/ und files/.
• Datensätze: records/<table>.json für jede Tabelle, die Daten des Teams enthält,

einschließlich Kontakten und all ihren untergeordneten Tabellen, Organisationen, Projekten, Phasen, Zuordnungen, Aufgaben, Aktivitäten, Mitarbeitenden, Zeiteinträgen, Rechnungen und deren Positionen, Abrechnungsprofilen, Reisen, Ausgaben und deren untergeordneten Datensätzen, Lebensläufen und Vorlagen, E-Mail-Importen, Importen aus der Browser-Erweiterung, Metadaten zu Verbindungen, Teamzugehörigkeit, Berechtigungen, Einladungen, Abonnements, Benachrichtigungen, dem Prüfprotokoll und den Metadatensätzen zu Dateien, die die exportierten Bytes verständlich machen.

• Eine leere Tabelle erzeugt weiterhin eine Datei mit [], sodass "es lagen keine Rechnungen vor"

von "Rechnungen waren in diesem Export nicht enthalten" unterscheidbar bleibt.

Was bewusst zurückgehalten wird. Geheimnisse verlassen den verschlüsselten Speicher auch für ihre Inhaber nicht, weil bei einem ZIP hinter einer signierten URL im Schadensfall mehr betroffen ist als bei der verschlüsselten Spalte, aus der es stammt: Hashes von API-Schlüsseln und CardDAV-Passwörtern, verschlüsselte Zugangsdaten für Postfächer und Integrationen, eingehüllte Datenverschlüsselungsschlüssel und kurzlebige OAuth-Codes. Zurückgehalten wird auch, was betriebliche Buchführung des Auftragsverarbeiters und nicht des Kunden ist: der Cache für die Wiederholung idempotenter Anfragen, Markierungen für Hinweise auf Inaktivität, Tombstones der CardDAV-Synchronisation, Telemetrie zu Synchronisationsläufen, rohe Webhook-Payloads von Stripe, Datensätze über versendete Einladungen und interne Zähler. Zu jedem Ausschluss ist der Grund festgehalten, und eine automatische Prüfung zählt jede Tabelle des Dienstes auf und schlägt fehl, sobald eine in keine der beiden Kategorien eingeordnet ist; so kann die Liste nicht unbemerkt veralten.

1.5 Aufbewahrung während der Laufzeit

Kopiert der Kunde einen Auszug aus einer importierten E-Mail in eine Projektbeschreibung oder in eine Aktivitätsnotiz, so wird dieser Text Teil der eigenen Geschäftsunterlagen des Kunden und wird mit ihnen aufbewahrt. Er wird nicht entfernt, wenn die importierte Ausgangsnachricht das Ende ihrer eigenen Aufbewahrungsfrist erreicht, denn Text aus den Unterlagen des Kunden zu entfernen wäre eine Veränderung der Daten des Kunden, die dieser nicht angewiesen hat.

Anlage 2: technische und organisatorische Maßnahmen (Art. 32 DSGVO)

Anlage 2 ist unter https://www.steerd.io/de/avv/anlage-2 veröffentlicht und wird hier nicht wiederholt, damit die Anlage und das Dokument nicht auseinanderlaufen können. Sie ist als Beschreibung dessen geschrieben, was das System tut, nicht als Zusicherung dessen, was es erreicht, und sie benennt ihre Lücken in einem Abschnitt Bekannte Lücken, statt sie wegzulassen. Ziffer 4.3 dieses AVV verweist bewusst auf jenen Abschnitt.

Anlage 3: Unterauftragsverarbeiter

Anlage 3 ist unter https://www.steerd.io/de/avv/anlage-3 veröffentlicht und wird ebenfalls nicht wiederholt, damit die beiden nicht auseinanderlaufen können. Sie führt dieselbe Liste, mit Zweck und Übermittlungsgrundlage je Empfänger. Stand 13.08.2026 sind folgende Unterauftragsverarbeiter hinzugezogen:

Keine Unterauftragsverarbeiter, nach Ziffer 5.5. Stripe, Cloudflare und Google Ireland verarbeiten personenbezogene Daten, für die der Auftragsverarbeiter selbst Verantwortlicher ist: die Zahlungsbeziehung, den Bot-Schutz auf den Formularen der Marketing-Website und die von einer Einwilligung abhängige Website-Analyse. Sie sind in der Datenschutzerklärung des Auftragsverarbeiters benannt und werden hier nicht aufgeführt, weil ihre Aufnahme ihre Rolle falsch darstellen und dem Kunden ein Widerspruchsrecht über eine Verarbeitung geben würde, die nicht seine Daten betrifft.

Warum Ziffer 6.1 für die letzte Zeile ohne Einschränkung gilt. Vertragspartner des Auftragsverarbeiters ist OpenAI Ireland Ltd mit Sitz in der Europäischen Union. Die vom Auftragsverarbeiter angewiesene Verarbeitung findet damit innerhalb der Union statt, und Kapitel V DSGVO greift auf seiner Ebene nicht ein. Die Weiterübermittlung in die Vereinigten Staaten ist die von OpenAI Ireland selbst und erfolgt auf Grundlage von deren Data Processing Addendum. Die Übermittlungsfolgenabschätzung, die Ziffer 6.3 auf Anfrage zusagt, ist durchgeführt und wird auf Anfrage zur Verfügung gestellt.

Ziffer 2.5 und diese Zeile sind zusammen zu lesen. Der Auftragsverarbeiter verwendet personenbezogene Daten nicht zum Training von Modellen künstlicher Intelligenz, weder eigener noch solcher Dritter. Inhalte, die an die API von OpenAI gehen, werden nicht zum Training von deren Modellen verwendet, und der Auftragsverarbeiter stimmt keinem Verfahren zur Datenweitergabe oder Rückmeldung zu, durch das sich das ändern würde. Vor der Hinzuziehung eines weiteren Modellanbieters prüft der Auftragsverarbeiter dieselbe Zusage gegen dessen Bedingungen.

Anlage 4: California Consumer Privacy Act

Diese Anlage gilt, soweit Ziffer 16.1 dies bestimmt. Die im California Consumer Privacy Act of 2018 in der Fassung des California Privacy Rights Act und in dessen Ausführungsvorschriften (zusammen der "CCPA") definierten Begriffe haben hier diese Bedeutung. In dieser Anlage ist der Kunde das Business und der Auftragsverarbeiter der Service Provider. Die englischen Begriffe stehen bewusst unübersetzt: Der Status als Service Provider hängt daran, dass der Vertrag die vom Gesetz verlangten Formulierungen trägt, und eine Übersetzung wäre eine andere Formulierung.

A4.1 Die begrenzten und bestimmten Zwecke

Das Business legt dem Service Provider personenbezogene Daten allein zu dem geschäftlichen Zweck offen, Steerd nach dem Hauptvertrag bereitzustellen, wie in Anlage 1 beschrieben. Das ist der begrenzte und bestimmte Zweck, zu dem die Daten offengelegt werden; zu keinem anderen verarbeitet der Service Provider sie.

Die Offenlegung ist kein Verkauf und keine Weitergabe im Sinne des CCPA. Der Service Provider erbringt für die personenbezogenen Daten keine Gegenleistung in Geld oder von sonstigem Wert und erhält sie ausschließlich zur Erbringung der Leistungen.

A4.2 Die Verbote für den Service Provider

Der Service Provider darf nicht:

• die personenbezogenen Daten verkaufen oder weitergeben ("sell or share") im Sinne des CCPA;
• die personenbezogenen Daten zu einem anderen Zweck als dem geschäftlichen Zweck nach Ziffer A4.1

aufbewahren, verwenden oder offenlegen, auch nicht zu einem anderen kommerziellen Zweck und auch nicht außerhalb der unmittelbaren Geschäftsbeziehung zwischen dem Service Provider und dem Business;

• die personenbezogenen Daten mit personenbezogenen Daten zusammenführen, die er von einer

anderen Person oder in deren Auftrag erhält oder aus seiner eigenen Interaktion mit einem Verbraucher erhebt, außer soweit der CCPA dies einem Service Provider ausdrücklich gestattet.

Das Verbot der Aufbewahrung, Verwendung und Offenlegung außerhalb der unmittelbaren Geschäftsbeziehung erfasst die eigenen kommerziellen Zwecke des Service Providers ausnahmslos. Die Parteien halten fest, dass Ziffer 2.5 dieses AVV für den gesamten Vertrag dasselbe bestimmt: keine Nutzung für eigene Zwecke des Auftragsverarbeiters, kein Verkauf, keine Auswertung zu eigenen kommerziellen Zwecken und keine Verwendung zum Training von Modellen künstlicher Intelligenz, weder eigener noch solcher Dritter.

A4.3 Zusicherung

Der Service Provider sichert zu, dass er die Beschränkungen der Ziffern A4.1 und A4.2 verstanden hat und einhalten wird.

A4.4 Schutzniveau, Unterstützung und Abhilfe

A4.4.1 Der Service Provider erfüllt die ihn nach dem CCPA treffenden Pflichten und gewährleistet dasselbe Datenschutzniveau, das der CCPA vom Business verlangt.

A4.4.2 Das Business kann angemessene Schritte unternehmen, um sicherzustellen, dass der Service Provider die personenbezogenen Daten in einer Weise verwendet, die mit den Pflichten des Business nach dem CCPA vereinbar ist. Ziffer 10 dieses AVV ist das Verfahren dafür und gilt hier.

A4.4.3 Der Service Provider unterrichtet das Business unverzüglich, wenn er feststellt, dass er seine Pflichten nach dem CCPA nicht mehr erfüllen kann.

A4.4.4 Auf eine Mitteilung hin, einschließlich einer Mitteilung des Service Providers nach Ziffer A4.4.3, hat das Business das Recht, angemessene Schritte zu unternehmen, um eine unbefugte Verwendung personenbezogener Daten zu beenden und zu beheben; der Service Provider wirkt an diesen Schritten mit. Das Recht hängt nicht davon ab, dass das Business die unbefugte Verwendung selbst festgestellt hat.

A4.5 Unterauftragnehmer, Verbraucheranfragen und deidentifizierte Daten

A4.5.1 Der Service Provider zieht die in Anlage 3 aufgeführten Unterauftragnehmer hinzu und erlegt jedem von ihnen vertraglich Pflichten auf, die denen dieser Anlage mindestens gleichwertig sind. Ziffer 5 dieses AVV regelt, wie sich die Liste ändert und wie das Business widerspricht.

A4.5.2 Der Service Provider unterstützt das Business bei der Beantwortung verifizierter Verbraucheranfragen nach dem CCPA. Ziffer 7 dieses AVV und die Selbstbedienungsfunktionen in Anlage 1.4 sind die Mittel dieser Unterstützung. Richtet ein Verbraucher eine Anfrage an den Service Provider, so beantwortet dieser sie nicht im eigenen Namen, sondern leitet sie an das Business weiter und verweist den Verbraucher an dieses.

A4.5.3 Soweit der Service Provider deidentifizierte Daten hält, versucht er nicht, sie zu reidentifizieren, und hält die Maßnahmen und Zusagen ein, die der CCPA von einem Empfänger deidentifizierter Daten verlangt.

Anlage 5: Vereinigtes Königreich

Diese Anlage gilt, soweit Ziffer 16.2 dies bestimmt. "UK GDPR" und "UK Data Protection Act" bezeichnen die als Recht von England und Wales, Schottland und Nordirland fortgeltende Fassung der Datenschutz-Grundverordnung sowie den Data Protection Act 2018.

A5.1 Wie dieser AVV zu lesen ist

Unterliegt die Verarbeitung der UK GDPR, so ist eine Verweisung dieses AVV auf die DSGVO, auf einen ihrer Artikel oder auf eine Aufsichtsbehörde als Verweisung auf die entsprechende Vorschrift der UK GDPR und auf den Information Commissioner zu lesen. Jede Pflicht, die der übrige AVV dem Auftragsverarbeiter auferlegt, gilt unverändert; nichts in dieser Anlage mindert eine davon.

A5.2 Warum die Übermittlung an den Auftragsverarbeiter kein Übermittlungsinstrument braucht

Der Auftragsverarbeiter verarbeitet in Deutschland, seine Unterauftragsverarbeiter verarbeiten innerhalb des Europäischen Wirtschaftsraums; Anlage 3 weist das je Empfänger aus.

Eine Übermittlung personenbezogener Daten vom Kunden im Vereinigten Königreich an den Auftragsverarbeiter in Deutschland ist eine restricted transfer, und die UK adequacy regulations erfassen sie: Nach diesen Regelungen gilt für die EWR-Staaten ein angemessenes Schutzniveau. Sie erfordert daher keine Garantie nach Art. 46 UK GDPR, und eine solche wird nicht in Anspruch genommen.

Die Unterscheidung in diesem Satz ist beabsichtigt und keine Spitzfindigkeit. Ein Angemessenheitsbeschluss nimmt eine Übermittlung nicht aus Kapitel V der UK GDPR heraus; er ist die Grundlage, auf der eine restricted transfer ohne weiteres Übermittlungsinstrument erfolgen darf. Eine Klausel, die sagt, die Übermittlung sei überhaupt nicht restricted, wäre in der Fachsprache falsch, die die Rechtsabteilung eines britischen Kunden verwendet, und zwar in der Richtung, die so aussieht, als hätten wir es nicht gewusst.

Die Parteien halten dies ausdrücklich fest, weil die übliche Erwartung die gegenteilige ist. Die Beschaffungsstelle eines britischen Kunden fragt das International Data Transfer Agreement oder das UK Addendum namentlich ab, und die richtige Antwort lautet, dass für diese Übermittlung keines von beiden erforderlich ist, und nicht, dass keines von beiden bedacht wurde. Ziffer A5.3 regelt den Fall, dass dies nicht mehr zutrifft.

A5.3 Das UK Addendum, für die Übermittlungen, die es tatsächlich beträfe

Stützt der Auftragsverarbeiter eine Weiterübermittlung personenbezogener Daten, die der UK GDPR unterliegen, in ein Land, das nicht von den UK adequacy regulations erfasst ist, auf die von der Europäischen Kommission erlassenen Standardvertragsklauseln, so gilt für diese Klauseln das International Data Transfer Addendum to the EU Commission Standard Contractual Clauses, das der Information Commissioner nach section 119A des Data Protection Act 2018 erlassen hat (das "UK Addendum"), und wird insoweit Bestandteil dieses AVV.

Dieses Addendum wird zwischen dem Auftragsverarbeiter und dem Unterauftragsverarbeiter geschlossen, nicht hier. Die Übermittlung, um die es ginge, nimmt der Auftragsverarbeiter als Exporteur an einen Unterauftragsverarbeiter als Importeur vor; das ist Modul 3. Weder der Kunde noch dieser Vertrag ist daran beteiligt: Der Importeur ist überhaupt nicht Partei dieses AVV, sodass der Parteienblock am Anfang dieses Dokuments Table 1 des Addendums nicht ausfüllen kann, und die Angaben in Table 2, einschließlich der Fassung der Standardvertragsklauseln und der gewählten optionalen Klauseln, sind Eigenschaften jenes anderen Vertrags und nicht dieses.

Was diese Ziffer dem Auftragsverarbeiter abverlangt, ist deshalb konkret und keine bloße Erklärung. Vor einer solchen Weiterübermittlung wird der Auftragsverarbeiter:

• mit dem betreffenden Unterauftragsverarbeiter ein UK Addendum schließen, mit den für diese

Übermittlung ausgefüllten Tables 1 bis 3 und einer Table 4, die festhält, dass keine der Parteien jenes Addendums es nach dessen section 19 beenden kann;

• die Übermittlung nicht aufnehmen, bevor dieses Addendum in Kraft ist; und
• dem Kunden auf Anfrage eine Kopie zur Verfügung stellen, nach Ziffer 6.3, geschwärzt nur

soweit dies zum Schutz der Vertraulichkeit Dritter erforderlich ist.

Zum Zeitpunkt dieses AVV findet keine solche Weiterübermittlung statt: Jeder Empfänger in Anlage 3 verarbeitet innerhalb des EWR, und die eine Weiterübermittlung in die Vereinigten Staaten, die in der Kette überhaupt vorkommt, nimmt OpenAI Ireland Ltd auf Grundlage ihres eigenen Vertrags vor und nicht der Auftragsverarbeiter. Ziffer 6.4 verpflichtet den Auftragsverarbeiter, den Kunden zu unterrichten, wenn eine von ihm in Anspruch genommene Übermittlungsgrundlage entfällt, und Ziffer 5.2 gibt dem Kunden 30 Tage Vorlauf und ein Widerspruchsrecht, bevor überhaupt ein neuer Unterauftragsverarbeiter hinzugezogen wird.

A5.4 Meldungen

Die eigene Pflicht des Kunden, eine Verletzung des Schutzes personenbezogener Daten an den Information Commissioner zu melden, läuft 72 Stunden ab seiner Kenntnis, wie nach Art. 33 Abs. 1 DSGVO. Ziffer 8.2 dieses AVV gilt unverändert für Verarbeitungen, die der UK GDPR unterliegen; die dort bestimmte Frist steht dort und wird hier nicht wiederholt, denn eine bindende Frist, die an zwei Stellen steht, ist eine Frist, die zweierlei sagen kann.